企業(yè)網(wǎng)絡(luò)安全規(guī)劃與設(shè)計(jì)

1、企 業(yè) 網(wǎng) 絡(luò) 安 全 規(guī) 劃 與 設(shè) 計(jì)企業(yè)網(wǎng)絡(luò)安全已成為當(dāng)今值得關(guān)注的問題，它的重要性是不言而喻的，對(duì)于大多數(shù)網(wǎng) 絡(luò)黑客來說，成功地入侵一個(gè)企業(yè)特別是著名企業(yè)的網(wǎng)絡(luò)系統(tǒng)，具有證明和炫耀其能耐的價(jià)值，盡管這種行為的初衷也許并不具有惡意的目的；竊取企業(yè)的網(wǎng)絡(luò)數(shù)據(jù)， 甚至破壞其網(wǎng)絡(luò)系統(tǒng)，更加具有現(xiàn)實(shí)和長遠(yuǎn)的商業(yè)價(jià)值。因此，如何保障企業(yè)網(wǎng)絡(luò)的安全變得重要起來。網(wǎng)絡(luò)安全性包括信息安全性，網(wǎng)絡(luò)本身的安全性，保證系統(tǒng)的安全性。要從管理和技 術(shù)角度制定不同的安全策略。安全設(shè)備的技術(shù)性能和功能，必須滿足行業(yè)系統(tǒng)管理體制的要求，即能基于網(wǎng)絡(luò)實(shí)現(xiàn)安全管理，具有接受網(wǎng)絡(luò)信息安全管理機(jī)構(gòu)管理的能力，還要不影響原網(wǎng)絡(luò)

2、拓?fù)浣Y(jié)構(gòu)。在對(duì)企業(yè)局域網(wǎng)網(wǎng)絡(luò)系統(tǒng)安全方案設(shè)計(jì)、規(guī)劃時(shí)，也應(yīng)遵循一定的原則。首先需求、 風(fēng)險(xiǎn)、代價(jià)平衡的原則：對(duì)任一網(wǎng)絡(luò)，絕對(duì)安全難以達(dá)到，也不一定是必要的。對(duì)一個(gè)網(wǎng)絡(luò) 進(jìn)行實(shí)際額研究（包括任務(wù)、性能、結(jié)構(gòu)、可靠性、可維護(hù)性等），并對(duì)網(wǎng)絡(luò)面臨的威脅及 可能承擔(dān)的風(fēng)險(xiǎn)進(jìn)行定性與定量相結(jié)合的分析，然后制定規(guī)范和措施，確定本系統(tǒng)的安全策略。一致性原則：一致性原則主要是指網(wǎng)絡(luò)安全問題應(yīng)與整個(gè)網(wǎng)絡(luò)的工作周期（或生命周期）同時(shí)存在，制定的安全體系結(jié)構(gòu)必須與網(wǎng)絡(luò)的安全需求相一致。安全的網(wǎng)絡(luò)系統(tǒng)設(shè)計(jì) （包括初步或詳細(xì)設(shè)計(jì)）及實(shí)施計(jì)劃、網(wǎng)絡(luò)驗(yàn)證、驗(yàn)收、運(yùn)行等，都要有安全的內(nèi)容及措施，實(shí)際 上，在網(wǎng)絡(luò)建設(shè)的開始就考

3、慮網(wǎng)絡(luò)安全對(duì)策，比在網(wǎng)絡(luò)建設(shè)好后再考慮安全措施，不但容易，且花費(fèi)也小得多。適度安全性原則：系統(tǒng)安全方案應(yīng)充分考慮保護(hù)對(duì)象的價(jià)值與保護(hù)成本之 間的平衡性，在允許的風(fēng)險(xiǎn)范圍內(nèi)盡量減少安全服務(wù)的規(guī)模和復(fù)雜性，使之具有可操作性， 避免超出用戶所能理解的范圍，變得很難執(zhí)行或無法執(zhí)行。易操作性原則：安全措施需要人為去完成，如果措施過于復(fù)雜，對(duì)人的要求過高，本身就降低了安全性。其次，措施的采用 不能影響系統(tǒng)的正常運(yùn)行。 多重保護(hù)原則：任何安全措施都不是絕對(duì)安全的，都可能被攻破。但是建立一個(gè)多重保護(hù)系統(tǒng)，各層保護(hù)相互補(bǔ)充，當(dāng)一層保護(hù)被攻破時(shí)， 其它層保護(hù)仍可保護(hù)信息的安全。局域網(wǎng)絡(luò)系統(tǒng)建成之后，應(yīng)該達(dá)到如下的

4、目標(biāo)：建立一套完整可行的網(wǎng)絡(luò)安全與網(wǎng)絡(luò) 管理策略；將內(nèi)部網(wǎng)絡(luò)、公開服務(wù)器網(wǎng)絡(luò)和外網(wǎng)進(jìn)行有效隔離，避免與外部網(wǎng)絡(luò)的直接通信；建立網(wǎng)站各主機(jī)和服務(wù)器的安全保護(hù)措施，保證他們的系統(tǒng)安全；對(duì)網(wǎng)上服務(wù)請(qǐng)求內(nèi)容進(jìn)行控制，使非法訪問在到達(dá)主機(jī)前被拒絕；加強(qiáng)合法用戶的訪問認(rèn)證， 同時(shí)將用戶的訪問權(quán)限控制在最低限度；全面監(jiān)視對(duì)公開服務(wù)器的訪問，及時(shí)發(fā)現(xiàn)和拒絕不安全的操作和黑客攻擊行為；加強(qiáng)對(duì)各種訪問的審計(jì)工作，詳細(xì)記錄對(duì)網(wǎng)絡(luò)、公開服務(wù)器的訪問行為，形成完整的系統(tǒng)日志；備份與災(zāi)難恢復(fù) 一一強(qiáng)化系統(tǒng)備份，實(shí)現(xiàn)系統(tǒng)快速恢復(fù)；加強(qiáng)網(wǎng)絡(luò)安全管理，提 高系統(tǒng)全體人員的網(wǎng)絡(luò)安全意識(shí)和防范技術(shù)。通常網(wǎng)絡(luò)中的安全隱患，會(huì)涉及這樣

5、一些內(nèi)容：網(wǎng)絡(luò)的物理安全，主要是指地震、水 災(zāi)、火災(zāi)等環(huán)境事故；電源故障；人為操作失誤或錯(cuò)誤；設(shè)備被盜、被毀；電磁干擾；線路 截獲。以及高可用性的硬件、雙機(jī)多冗余的設(shè)計(jì)、機(jī)房環(huán)境及報(bào)警系統(tǒng)、安全意識(shí)等。它是 整個(gè)網(wǎng)絡(luò)系統(tǒng)安全的前提，在這個(gè)企業(yè)區(qū)局域網(wǎng)內(nèi)，由于網(wǎng)絡(luò)的物理跨度不大，只要制定健全的安全管理制度，做好備份，并且加強(qiáng)網(wǎng)絡(luò)設(shè)備和機(jī)房的管理，這些風(fēng)險(xiǎn)是可以避免的。保證計(jì)算機(jī)信息系統(tǒng)各種設(shè)備的物理安全是整個(gè)計(jì)算機(jī)信息系統(tǒng)安全的前提，物理安全是保護(hù)計(jì)算機(jī)網(wǎng)絡(luò)設(shè)備、設(shè)施以及其它媒體免遭地震、水災(zāi)、火災(zāi)等環(huán)境事故以及人為操作失誤或錯(cuò)誤及各種計(jì)算機(jī)犯罪行為導(dǎo)致的破壞過程。主要包括：設(shè)備安全，設(shè)備的防盜

6、、 防毀、防電磁信息輻射泄漏、防止線路截獲、抗電磁干擾及電源保護(hù)等；媒體安全，媒體數(shù) 據(jù)的安全及媒體本身的安全。還有其他的安全隱患，黑客們利用系統(tǒng)和管理上的漏洞，進(jìn)入企業(yè)網(wǎng)的內(nèi)部，篡改一 些數(shù)據(jù)，例如將自己變?yōu)楦呒?jí)用戶，或者監(jiān)聽登錄會(huì)話， 竊取他人的賬戶和口令；還有包括病毒、蠕蟲、特洛伊木馬等惡意代碼；能夠通過 mail、internet傳播的病毒；還有一些對(duì)網(wǎng) 絡(luò)的攻擊手段，沒有預(yù)先經(jīng)過同意， 就使用網(wǎng)絡(luò)或計(jì)算機(jī)資源被看作非授權(quán)訪問，如有意避開系統(tǒng)訪問控制機(jī)制，對(duì)網(wǎng)絡(luò)設(shè)備及資源進(jìn)行非正常使用，或擅自擴(kuò)大權(quán)限，越權(quán)訪問信息，例如，假冒、身份攻擊、非法用戶進(jìn)入網(wǎng)絡(luò)系統(tǒng)進(jìn)行違法操作、合法用戶以未授

7、權(quán)方式進(jìn)行操作；破壞數(shù)據(jù)的完整性，使得信息/數(shù)據(jù)失去了原有的真實(shí)性，從而變得不可用或造成廣泛的負(fù)面影響；以非法手段竊得對(duì)數(shù)據(jù)的使用權(quán)，刪除、修改、插入或重發(fā)某些重要信息， 以取得有益于攻擊者的響應(yīng)，惡意添加，修改數(shù)據(jù)，以干擾用戶的正常使用。搭線（網(wǎng)絡(luò)）竊聽攻擊者可以采用如 Sniffer等網(wǎng)絡(luò)協(xié)議分析工具，在 internet網(wǎng)絡(luò)安全的薄弱處進(jìn)入 internet ,并非常容易地在信息傳輸過程中獲取所有信息（尤其是敏感信息）的內(nèi)容。網(wǎng)絡(luò)安全技術(shù)可以分為如下幾大類，即：身份認(rèn)證技術(shù)、防火墻技術(shù)、入侵檢測(cè)技術(shù)、 病毒防治技術(shù)、網(wǎng)絡(luò)數(shù)據(jù)完整性技術(shù)和網(wǎng)絡(luò)活動(dòng)審計(jì)技術(shù)。他們應(yīng)用于網(wǎng)絡(luò)活動(dòng)的不同階段，來保

8、護(hù)網(wǎng)絡(luò)內(nèi)的信息資源。整個(gè)企業(yè)的局域網(wǎng)按訪問區(qū)域可以劃分為三個(gè)主要的區(qū)域：Internet區(qū)域、內(nèi)部網(wǎng)絡(luò)、公開服務(wù)器區(qū)域。內(nèi)部網(wǎng)絡(luò)又可按照所屬的部門、職能、安全重要程度分為許多子網(wǎng)。企業(yè)局域網(wǎng)一般都進(jìn)行文件共享、辦公自動(dòng)化、WWW服務(wù)、電子郵件服務(wù)，文件數(shù)據(jù)的統(tǒng)一存儲(chǔ)，提供與Internet的訪問，通過公開服務(wù)器對(duì)外發(fā)布企業(yè)信息、發(fā)送電子郵件等。網(wǎng)絡(luò)運(yùn)行環(huán)境下，系統(tǒng)與系統(tǒng)、系統(tǒng)與用戶、用戶與用戶之間頻繁交換各種數(shù)據(jù)、信息，如電子文件、文檔、 報(bào)文甚至數(shù)據(jù)或代碼。在網(wǎng)絡(luò)通信環(huán)境下，也經(jīng)常有假冒源點(diǎn)身份將報(bào) 文插入網(wǎng)絡(luò)中，或者假的報(bào)文接收者發(fā)回假確認(rèn)，或不予接收；還有篡改報(bào)文內(nèi)容、報(bào)文序號(hào)；報(bào)文延遲

9、或回收；否認(rèn)收到報(bào)文或否認(rèn)發(fā)送報(bào)文等。在企業(yè)網(wǎng)絡(luò)中，企業(yè)的賬務(wù)、人事、新產(chǎn)品等重要的數(shù)據(jù)，不得隨意修改。因此，除使用一般的網(wǎng)管軟件和系統(tǒng)監(jiān)控管理系統(tǒng)外， 還應(yīng)使用目前較為成熟的網(wǎng)絡(luò)監(jiān)控設(shè)備或?qū)崟r(shí)入侵檢測(cè)設(shè)備，以便對(duì)進(jìn)出各級(jí)局域網(wǎng)的常見操作進(jìn)行實(shí)時(shí)檢查、監(jiān)控、報(bào)警和阻斷，從而防止針對(duì)網(wǎng)絡(luò)的攻擊與犯罪行為。數(shù)字簽名可 以防止否認(rèn)收到報(bào)文或否認(rèn)發(fā)送報(bào)文這類問題，所以解決的方法就是，對(duì)這些數(shù)據(jù)庫的錄入與修改的操作者的身份進(jìn)行認(rèn)證，也可用數(shù)字簽名、證書技術(shù)保證數(shù)據(jù)交換過程中用戶和信息的有效性，用于標(biāo)明信息分發(fā)者的身份和對(duì)交換信息的認(rèn)可，接收方也可以通過驗(yàn)證數(shù)字簽名以判斷信息是否來源于指定用戶，以及交換信

10、息的完整性。存取控制規(guī)定何種主體對(duì)何種客體具有何種操作權(quán)利，也是內(nèi)部網(wǎng)絡(luò)安全理論的重要方面，主要包括人員限制、 數(shù)據(jù)標(biāo)識(shí)、權(quán)限控制、控制類型和風(fēng)險(xiǎn)分析。在內(nèi)部網(wǎng)與外部網(wǎng)之間，設(shè)置防火墻實(shí)現(xiàn)內(nèi)外網(wǎng)的隔離與訪問控制是保護(hù)內(nèi)部網(wǎng)安全的 最主要、同時(shí)也是最有效、 最經(jīng)濟(jì)的措施之一。 防火墻設(shè)置在不同網(wǎng)絡(luò)或網(wǎng)絡(luò)安全域之間信 息的唯一出入口。包過濾防火墻工作在網(wǎng)絡(luò)層上，有選擇的讓數(shù)據(jù)包在內(nèi)部網(wǎng)絡(luò)與外部網(wǎng)絡(luò)之間進(jìn)行交換。一般利用IP和TCP包的頭信息對(duì)進(jìn)出被保護(hù)網(wǎng)絡(luò)的IP包信息進(jìn)行過濾，能根據(jù)企業(yè)的安全政策來控制（允許、拒絕、監(jiān)測(cè)）出入網(wǎng)絡(luò)的信息流。同時(shí)可實(shí)現(xiàn)網(wǎng)絡(luò)地 址轉(zhuǎn)換（NAT）、審記與實(shí)時(shí)告警等功能。

11、代理服務(wù)防火墻也有一定功效，是一種增加了安 全功能的應(yīng)用層網(wǎng)關(guān)，位于internet和intranet之間，自動(dòng)截取內(nèi)部用戶訪問internet的請(qǐng)求，驗(yàn)證其有效性，代表用戶建立訪問外部網(wǎng)絡(luò)的連接。代理服務(wù)器在很大程度上對(duì)用戶是透明的，如果外部網(wǎng)絡(luò)個(gè)站點(diǎn)之間的連接被切斷了，必須通過代理服務(wù)器方可相互連通。網(wǎng)絡(luò)系統(tǒng)的安全性取決于網(wǎng)絡(luò)系統(tǒng)中最薄弱的環(huán)節(jié)，所以要及時(shí)發(fā)現(xiàn)并修正網(wǎng)絡(luò)中存在的弱點(diǎn)和漏洞。網(wǎng)絡(luò)安全檢測(cè)工具通常是一個(gè)網(wǎng)絡(luò)安全性評(píng)估分析軟件，其功能是用實(shí)踐性的方法掃描分析網(wǎng)絡(luò)系統(tǒng)，檢查報(bào)告系統(tǒng)存在的弱點(diǎn)和漏洞，建議補(bǔ)救措施和安全策略，達(dá)到增強(qiáng)網(wǎng)絡(luò)安全性的目的。這樣，防火墻將得到合理配置，內(nèi)外

12、WEB站點(diǎn)的安全漏洞減為最低，網(wǎng)絡(luò)體系達(dá)到強(qiáng)壯的耐攻擊性，對(duì)網(wǎng)絡(luò)訪問做出有效響應(yīng)，保護(hù)重要應(yīng)用系統(tǒng)（如財(cái)務(wù)系統(tǒng)）數(shù)據(jù)安全不受黑客攻擊和內(nèi)部人員誤操作的侵害。入侵檢測(cè)系統(tǒng)是根據(jù)已有的、最新的和可預(yù)見的攻擊手段的信息代碼對(duì)進(jìn)出網(wǎng)絡(luò)的所有操作行為進(jìn)行實(shí)時(shí)監(jiān)控、記錄，并按制定的策略實(shí)行響應(yīng)（阻斷、報(bào)警、發(fā)送 E-mail）, 一般包括控制臺(tái)和探測(cè)器，也不會(huì)對(duì)網(wǎng)絡(luò) 系統(tǒng)性能造成多大影響。由于企業(yè)需要的是一個(gè)非常龐大的網(wǎng)絡(luò)系統(tǒng)，因而對(duì)整個(gè)網(wǎng)絡(luò)（或重要網(wǎng)絡(luò)部分）運(yùn)行進(jìn)行記錄、分析是非常重要的，它可以讓用戶通過對(duì)記錄的日志數(shù)據(jù)進(jìn)行分析、比較，找出發(fā) 生的網(wǎng)絡(luò)安全問題的原因，并可作為以后的法律證據(jù)或者為以后的網(wǎng)

13、絡(luò)安全調(diào)整提供依據(jù)。 審計(jì)可以記錄用戶使用計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)進(jìn)行所有活動(dòng)的過程，它是提高安全性的重要工具。 它不僅能夠識(shí)別誰訪問了系統(tǒng)，還能看出系統(tǒng)正被怎樣地使用。對(duì)于確定是否有網(wǎng)絡(luò)攻擊的情況，審計(jì)信息對(duì)于去定問題和攻擊源很重要。由于在網(wǎng)絡(luò)環(huán)境下，計(jì)算機(jī)病毒有不可估量的威脅性和破壞力，因?yàn)椴《驹诰W(wǎng)絡(luò)中存儲(chǔ)、傳播、感染的方式各異且途徑多種多樣，因此計(jì)算機(jī)病毒的防范是網(wǎng)絡(luò)安全性建設(shè)中重要的一環(huán)。所選的防毒軟件應(yīng)該構(gòu)造全網(wǎng)統(tǒng)一的防病毒體系。主要面向MAIL、Web服務(wù)器，以及辦公網(wǎng)段的 PC服務(wù)器和PC機(jī)等。支持對(duì)網(wǎng)絡(luò)、服務(wù)器、和工作站的實(shí)時(shí)病毒監(jiān)控； 能夠在中心控制臺(tái)向多個(gè)目標(biāo)分發(fā)新版殺毒軟件，并監(jiān)視

14、多個(gè)目標(biāo)的病毒防治情況；支持多種平臺(tái)的病毒防范；能夠識(shí)別廣泛的已知和未知病毒，包括宏病毒；支持對(duì)Internet/ Intranet服務(wù)器的病毒防治，能夠阻止惡意的Java或ActiveX小程序的破壞；支持對(duì)電子郵件附件的病毒防治，包括 WORD、EXCEL中的宏病毒；支持對(duì)壓縮文件的病毒檢測(cè)；支持廣泛的 病毒處理選項(xiàng)，如對(duì)染毒文件進(jìn)行實(shí)時(shí)殺毒，移出，重新命名等；支持病毒隔離，當(dāng)客戶機(jī) 試圖上載一個(gè)染毒文件時(shí)，服務(wù)器可自動(dòng)關(guān)閉對(duì)該工作站的連接；提供對(duì)病毒特征信息和檢測(cè)引擎的定期在線更新服務(wù)；支持日志記錄功能；支持多種方式的告警功能（聲音、圖像、 電子郵件等）等。除此之外，也要進(jìn)行系統(tǒng)備份， 備

15、份不僅在網(wǎng)絡(luò)系統(tǒng)硬件故障或人為失誤時(shí)起到保護(hù)作 用，也在入侵者非授權(quán)訪問或?qū)W(wǎng)絡(luò)攻擊及破壞數(shù)據(jù)完整性時(shí)起到保護(hù)作用，同時(shí)亦是系統(tǒng)災(zāi)難恢復(fù)的前提之一。在確定備份的指導(dǎo)思想和備份方案之后，就要選擇安全的存儲(chǔ)媒介和技術(shù)進(jìn)行數(shù)據(jù)備份， 有 冷備份”和熱備份'兩種。熱備份是指 在線”的備份，即下載備份的數(shù) 據(jù)還在整個(gè)計(jì)算機(jī)系統(tǒng)和網(wǎng)絡(luò)中，只不過傳到令一個(gè)非工作的分區(qū)或是另一個(gè)非實(shí)時(shí)處理的 業(yè)務(wù)系統(tǒng)中存放。冷備份”是指 不在線”的備份，下載的備份存放到安全的存儲(chǔ)媒介中，而這種存儲(chǔ)媒介與正在運(yùn)行的整個(gè)計(jì)算機(jī)系統(tǒng)和網(wǎng)絡(luò)沒有直接聯(lián)系，在系統(tǒng)恢復(fù)時(shí)重新安裝， 有一部分原始的數(shù)據(jù)長期保存并作為查詢使用。熱備份的優(yōu)點(diǎn)是投資大，但調(diào)用快，使用方便，在系統(tǒng)恢復(fù)中需要反復(fù)調(diào)試時(shí)更顯優(yōu)勢(shì)。為了保護(hù)網(wǎng)絡(luò)的安全性，除了在網(wǎng)絡(luò)設(shè)計(jì)上增加安全服務(wù)功能，完善系統(tǒng)的安全保密措施外，安全管理規(guī)范也是網(wǎng)絡(luò)安全所必須的。安全管理策略一方面從純粹的管理上即安全管理規(guī)范來實(shí)